HSM 的高可用与备份
HSM 一旦投入生产，就会成为签名、证书签发与解密链路的关键单点：设备维护、故障或机房事故都会同时打断多条业务线。可用性靠冗余解决——双机、集群或云上多可用区部署，并在设备之间安全复制密钥材料。备份要覆盖三部分：密钥对象、设备配置与访问策略，只备份密钥文件通常无法在备用设备上恢复出可用的服务环境。所有切换与恢复动作都应纳入定期演练，没演练过的预案基本等于没有预案。
基本信息
| 高可用 | 双机/集群或云上多可用区部署 |
|---|---|
| 密钥同步 | 设备间安全复制，或从同一份备份恢复 |
| 备份内容 | 密钥对象、设备配置、访问策略与口令 |
| 备份保护 | 加密保管、异地存放、双人取用 |
| 演练要求 | 故障切换与恢复纳入定期计划并留记录 |
| 降级预案 | 设备全不可用时的人工流程与临时替代方案 |
典型使用场景
- 设备维护窗口：确认切换后业务无感知，再执行固件升级。
- 机房级故障：多可用区部署下的自动或手动切换。
- 灾难恢复：用备份在新设备上重建密钥环境。
- 容量评估：签名吞吐接近上限时提前扩容，而不是等排队。
- 审计响应：提供演练记录，证明预案确实可执行。
查看令牌与槽位
查看令牌与槽位
# 开发环境示例：确认令牌可见与槽位状态
p11tool --provider /usr/lib64/pkcs11/libsofthsm2.so --list-tokens
softhsm2-util --show-slots
# 生产环境应确认应用配置中列出的 HSM 地址有多个，故障切换时能自动重连
# 演练时记录切换耗时，作为预案的量化指标故障类型与预案
| 故障类型 | 影响范围 | 预案要点 |
|---|---|---|
| 单台设备故障 | 切到备用设备后不影响业务 | 确认密钥已在备用设备可用 |
| 机房事故 | 同机房多台同时不可用 | 异地部署或云上多可用区 |
| 计划内维护 | 可预期的短时中断 | 选择业务低谷并提前通知 |
| 备份不可恢复 | 灾难场景下无法重建 | 定期演练恢复并核对密钥清单 |
| 到 HSM 网络不通 | 签名与解密超时 | 多地址重连与超时降级策略 |
HSM 故障会同时影响签名、证书签发与加解密服务，应有明确的降级路径与人工流程预案；把「等设备恢复」当作唯一方案会放大中断时长。